ZONE.CI 全球网

本文披露Kimsuky组织攻陷OA厂商的供应链攻击链。攻击者通过漏洞或钓鱼入侵，部署Gomir系列Linux后门，含使用HTTP/3的BirdTroy及以谷歌云盘为C2的DriveTroy。随后篡改OA页面窃取凭证，利用客户台账横向渗透下游数千企业，并给出详细的自查特征与防御建议。

360高级威胁研究院披露APT-C-24(响尾蛇)组织近期使用application文件进行钓鱼攻击,通过ClickOnce部署白加黑组件,最终植入Rust后门窃取敏感信息并实现远程控制。该组织滥用workers.dev等免费托管平台,仿冒巴基斯坦政府机构域名,攻击目标为南亚国家政府、国防等领域。建议用户提高安全意识,警惕钓鱼邮件。

该文档介绍了安全分析团队利用样本基因同源分析技术，通过分析代码的深层语义特征，成功将2026年捕获的下载器样本与2023年和2025年的两个历史样本关联，并判定其与某APT组织存在关联。核心结论是攻击者长期复用核心代码逻辑，即祖传代码，而基因溯源技术能有效对抗基于表层特征的检测。建议安全团队重视样本基因库的积累，以提升长期威胁追踪能力。

本文记录使用hermesagent辅助完成酷安app抓包的实战过程，从r0capture/frida尝试失败，经tcpdump兜底，最终通过ecapture的boringsslTLShook成功获取明文接口。核心观点是AI自动抓包的价值在于将工具操作升级为可追踪、可复盘、可迁移的业务分析链路，并强调接口分析与脱敏报告的重要性。

本文提出利用大语言模型与图神经网络结合的双引擎架构识别APT攻击，解决数据分散、格式杂乱及误报问题。核心方法包括双窗口时序分析捕捉慢速渗透、图谱推理还原攻击链，以及多信号融合评分。可操作建议：从高风险域试点，调整窗口参数，融合评分接防火墙与工单系统，按月更新模型避免概念漂移。

韩国发布联合预警，LazarusAPT与Gunra勒索团伙深度合作，共享全套攻击武器和基础设施，同时进行间谍情报窃取和勒索变现。攻击利用韩国强制安装的金融安全软件漏洞，通过水坑攻击和AI钓鱼邮件入侵。企业需升级补丁、部署EDR、隔离内网，个人需更新软件、警惕陌生邮件。该合作标志国家级APT与勒索黑产彻底打通，威胁升级。

该文档为M国APT战略研究连载第七部分，聚焦未来趋势与演进方向。核心要点包括：人工智能与机器学习将深度整合，加剧攻防不对称并推动自动化作战体系；云原生与容器化技术带来新攻击面，模糊网络边界；太空与卫星网络成为新作战域，治理复杂；边缘计算与物联网的武器化将网络战范围扩展至物理世界。文档最后提出加强关键基础设施防护、供应链安全、人才培养与国际合作等综合性应对建议。

欧盟实锤Turla间谍APT长期渗透政企外交。其Kazuar工具采用P2P架构，仅单机外联，实现无文件内存驻留与隐蔽窃密，传统防护失效。文章拆解其全链路手法，提供流量审计、EDR监测及内网微分段等自查清单，建议政企升级内存检测与全域流量分析纵深防御体系。

乌克兰CERT-UA预警APT44通过虚假招聘对IT人员发起定向攻击。攻击者伪造企业账号进行仿真面试，诱导受害者下载基于WireGuard改造的恶意VPN客户端。该后门利用自定义Base64编码与AES加密隐藏载荷，在权限降级前执行恶意代码实现跨平台持久化。建议求职者严格核验企业资质，拒装不明VPN，企业需加强终端入网管控。

本文通报伊朗APT组织Handala入侵美供水与能源工控系统，攻击者通过暴露端口突破边界，篡改PLC安全联锁与报警逻辑，使设备在无预警下高危运行，波及罗克韦尔等主流设备。针对国内企业公网裸奔与IT/OT未隔离等通病，文章提供边界隔离、工程备份与告警监控等具体加固清单，强调工控安全已关乎民生底线。

APT组织HoneyMyte升级了CoolClient后门，新增内核级WindowsRootkit驱动，通过已签名驱动隐藏进程和文件，增强隐蔽性。该变种针对亚洲多国，采用多阶段执行链，包括DLL侧加载、UAC绕过和驱动部署。建议加强端点检测和监控异常驱动加载行为。

2026年8月全球情报机构披露朝鲜APT组织Kimsuky全面AI化升级，利用大模型生成钓鱼文案、伪造证件、恶意代码及自动化数据分拣，彻底消除传统钓鱼语法破绽，攻击规模扩大数十倍。政府、军工、高校、加密企业成为核心目标。防御需升级AI语义邮件网关、终端行为监控、沙箱检测及员工AI钓鱼培训，仅靠传统杀毒和旧式培训已无法抵御。

问鼎安全应急响应中心披露越南APT32海莲花组织最新存活样本，该样本盗用搜狗输入法数字签名作为初始加载器，通过五层自定义私有加密机制实现载荷释放与远控通信。核心组件采用AES-256-CBC动态密钥解密、私有混淆算法隐藏字符串与API哈希，并内置多重反调试反沙箱技术。分析完整覆盖组织画像、加载器侧加载、注册表隐蔽配置、全维度对抗机制及解密流程，并提供解密脚本。建议加强数字签名验证、监控异常注册表修改及动态API解析行为。

本文详细记录了一起Linux服务器被APT组织入侵的应急响应案例，从时区校准、文件检索、strace动态追踪到样本逆向分析，完整还原攻击链路。样本采用AES-256加密、LZ4压缩及多模块架构，具备高隐蔽性和抗查杀能力。文章提供了可复用的排查命令和分析脚本，强调实战经验，适合安全从业者参考。

本文披露APT36针对南亚电信等机构的间谍活动，使用PATCHCORD与SHEETCORD新型后门。攻击者利用伪造安装程序实施社工攻击，通过劫持浏览器快捷方式及内存执行shellcode实现隐蔽持久化。文章提供C2域名与IP等IOC指标，揭示攻击目标向电信扩展趋势及大模型辅助开发迹象，建议加强文件来源审查与异常监控。

俄APT组织TA488利用OWA高危漏洞实施半点击攻击，仅阅读邮件即触发XSS并植入OWAReaper后门。木马通过篡改服务器权限与缓存实现极难清除的持久化，可静默窃取全量邮件及凭证。建议自建Exchange企业立即打补丁、回收异常权限、清理缓存并限制OWA外网访问。

本文剖析朝鲜APT组织Kimsuky利用本地大模型等AI工具实现全链路武器化的攻击行动。攻击者通过AI生成高仿真诱饵与混淆LNK，以GitHub为隐蔽C2下发木马，并借助RAG技术离线高效筛选窃密。建议企业转向EDR行为分析防御，重点监控终端异常AI工具安装、LNK恶意命令及未授权GitHub外联。

本文剖析AdaptixC2中转Beacon上传大文件断连的根因。通过梳理客户端请求、服务端任务分块及父子Beacon通信全流程，结合日志定位到问题在于子Beacon接收超1MB数据时调用LocalReAlloc扩容失败，导致指针为空引发socket中断。建议修改扩容逻辑在失败时重新开辟内存，修复后可稳定上传20余MB文件。

APT36透明部落组织利用社会工程学诱饵投放Patchcord等三套后门，通过劫持浏览器快捷方式实现持久化，并滥用GoogleSheets和GitHubGist作为C2通道以规避检测。攻击目标为南亚电信、国防等关键基础设施。建议检查注册表异常键值、审计浏览器快捷方式、监控对公有云服务的高频访问，并加强员工安全意识培训。

IBMX-Force与Deception.Pro利用欺骗防御技术搭建高仿真企业环境，成功诱捕APT组织ITG27的完整人工渗透流程。攻击者采用DLL侧加载、WebSocket加密C2及双模式VNC后门，根据目标环境调整策略。研究验证了欺骗防御在捕获真实攻击行为中的价值，并建议加强邮件沙箱检测、终端行为监控及网络隔离。